採購要求 ISO 27001，窗口卻拿來 ISO 27002 指引交差。兩份文件都有資安，卻不是同一種交付。標準搞錯，最直接的成本可能是客戶不驗收。
企業談資安認證時，常把 ISO 27001、27002、27005、27006 當成一整串必須全部「取得證書」的項目。實際上，這些標準在同一個治理體系裡扮演不同角色。
最先搞清楚的不是數字，而是你缺的是制度要求、風險方法、控制措施，還是驗證機構的專業要求。
先分角色，不要背編號
| 標準 | 主要角色 | 誰會用到 |
|---|---|---|
| ISO/IEC 27001 | 建立、維持、改善資訊安全管理系統的要求 | 要管理資訊安全風險或規劃正式 ISMS 認證的企業 |
| ISO/IEC 27002 | 資訊安全控制措施與實作指引 | 資安負責人、風險處理與制度設計者 |
| ISO/IEC 27005 | 資訊安全風險管理指引 | 風險評鑑、風險處理方法設計者 |
| ISO/IEC 27006-1 | 提供 ISMS 稽核與驗證的機構之要求 | 驗證機構與查核制度設計者 |
| ISO/IEC 27701:2025 | 隱私資訊管理系統要求與指引 | 需要系統性管理個資處理活動的組織 |
ISO/IEC 27000 已在 2026 年更新為第六版，是概念與標準家族的總覽，不是另一張企業證書。版本可查 ISO 官方 27000:2026。
版本會持續修訂，採購、投標與正式驗證時應以最新官方資料及合約所載版本為準。
一家公司如何把它們串起來？
以擁有數間門市、會員系統與 ERP 的零售商為例：
- 依 27001 建立管理範圍和責任，列出資產與風險處理程序。
- 依 27005 的方法觀念辨識情境、評估影響及優先順序。
- 參考 27002 選擇存取控制、供應商管理、備份或日誌措施。
- 若決定正式驗證，再與合適機構確認審核範圍、稽核安排及認證條件。
- 若要進一步管理會員個資的告知、目的、保存、權利請求及處理者關係，評估導入 27701。
這裡的順序是工作分工示例，不是各標準強制要求的採購先後順序，也不是保證一次取得所有證書。
ISO 27001 和 27701 的差異，不是多一張證書這麼簡單
27001 關心資訊資產如何在可控風險下被保護；27701 進一步聚焦個人資料的處理責任與隱私治理。2025 年的 27701 已調整為可以單獨使用的管理系統標準，不能再沿用「27701 永遠只是 27001 附加認證」的過時說法。
例如物流名單寄出是否加密，是資安議題；蒐集目的、超出目的後能否再利用、資料應在什麼時候刪除，則涉及隱私與個資法遵。兩者有交集，不互相取代。
採購前應問的四個問題
- 客戶合約要求的是哪一項標準？是否指定版本和驗證範圍？
- 我們需要的是管理系統改善、資安控制措施，還是獨立驗證證書？
- 哪些紀錄已經存在，哪些只是口頭表示有做？
- 委外平台提供的證書，涵蓋哪些服務和資料中心？
如果這四題都沒有答案，先買「一包 ISO 全套輔導」很容易在費用和交付範圍上失焦。
官方參考：ISO 27001、ISO 27002、ISO 27005、ISO 27006-1、ISO 27701:2025。
同主題延伸閱讀：ISO 27001 與 ISO 27002 差在哪？認證要求與控制措施的分工、ISO 27001 BCP、BIA 與災難復原怎麼分？從營運中斷算回復需求。